opensky

Offtopic - antivirus

sparrow-ship - 14.10.2007, 01:44
Titel: antivirus
WARNUNG !!! Last Update 15. Okt. 2007, 10:50 MEZ

Vermutlich will da jemand an Ihre Kreditkarteninformationen!
Zudem ist die Webseite moeglicherweise infizierend!

Der originale "Forenbeitrag" von "sparrow-ship:"

------------------------

whats up!!
week ago i have noticed that my PC began working very slowly! i decided to look for some antivirus program in internet. i found realy good antivirus program! here is it:


anti sypware

Good luck!

-----------------------

Die voll ausgeschriebene Link-Adresse ist bemerkenswert:

http://sypware.spymurder.com

Klickt man auf den Link, erhaelt man folgende Warnmeldung: Shocked


Image


und klickt man dann auf "Weiter" soll man ein Exe-File downloaden! Laughing


Image


Ein Scan mit AntiVir Personal Edition ist negativ und ich kann es nicht mit einem Editor oeffnen um mir das Script anzuschauen. Ich habe deshalb das Exe-File dem Virenlabor von Avira-Teams zur Analyse uebermittelt - ich vermute es handelt sich um SpyWare und/oder einen DownLoader. Das kann uebrigens jederman:

http://analysis.avira.com/samples/index.php

Bitte verdaechtige Dateien verzippen!

-------------------------------

Update vom 15. Okt. 2007, 10:50 MEZ

Hier der Befund vom AVIRA-Virenlabor:

Zitat:
Vielen Dank für Ihre Email an Avira's Virenlabor.
Auftragsnummer: INC00089410.

Wir haben folgende Archivdateien empfangen:

Datei ID Dateiname Größe (Byte) Ergebnis
1334657 install_de.zip 82.27 KB OK

Eine Auflistung der Dateien und Ergebnisse, die in Archiven enthalten waren, sind im folgenden aufgeführt:

Datei ID Dateiname Größe (Byte) Ergebnis
1334658 install_de.exe 154.52 KB MALWARE

Genaue Ergebnisse für jede Datei finden sie im folgenden Abschnitt:

Dateiname Ergebnis
install_de.exe MALWARE

Die Datei 'install_de.exe' wurde als 'MALWARE' eingestuft.Unsere Analytiker haben dieser Bedrohung den Namen SPR Dldr.WinFixer.Z.26 gegeben.Bei der Bezeichnung "SPR/" ("Security or Privacy Risk") handelt es sich um ein Programm, das möglicherweise in der Lage ist, die Sicherheit Ihres Systems zu beeinträchtigen, von Ihnen nicht gewünschte Programmaktivitäten auszulösen oder Ihre Privatsphäre zu verletzen.

Ein Erkennungsmuster ist mit Version 6.39.01.114 der Virendefinitionsdatei (VDF) hinzugefügt.


Ein herzliches Dankeschoen ans AVIRA-Analyseteam!

Peter Schlegel / admin opensky.cc

Der Trick, mittels Forenbeitraegen Besucher auf infizierende Webseiten zu entfuehren, ist nicht neu. Siehe unter

Cracker-Angriffe auf unser Forum

Peter Schlegel alias Opensky
opensky - 14.10.2007, 07:04
Titel: Erneut KREDITKARTEN-BETRUEGER am Werk ?
WARNUNG !!!

Vermutlich will da jemand an Ihre Kreditkarteninformationen!
Zudem ist die Webseite moeglicherweise infizierend!


Was vom Angebot zu halten ist:

1. Die Firma hat keine Adresse, aber ein grosses Maul, zudem strotzt ihre Webseite vor Rechtschreibefehlern:

http://virusschlacht.com/about.html

Zitat:
VirusSchlacht ist die Weltklassegesellschaft, die sich mit der Herstellung der erstklassigen Sicherheitslösungen beschäftgt. Unsere Software wurde kreiert, um den einzelnen Personen, kleienen Unternehmen und den Bildungsorganisationen die PCs vor den Bedrohungen verschiedener Herkunft und Kompliziertheit zu schützen. Wir haben eine lange Liste der Produkte, in der jeder Kunde die beste Lösung für sich finden kann. Diese Lösungen schließen Virenschutz, Filter der Anhänge und der Werbung, Firewall, Optimierungssoftware usw. ein.

Unsere Firma hat eine starke Mannschaft qualifizierter Fachleute, Programmierer, Prüfer, Ingenieure, und Kundenbetreuer, die einander ergänzen, um die Produkte und Dienste der besten Qualität herzustellen. Wir bemühen uns unsere Software so zu verbessern, daß unsere Kunden mit unseren Produkten völlig zufrieden sind. Dabei sind unsere Kunden die besten Ratgeber für uns. Wir schätzen ihre Rückmeldungen und machen alles mögliches, um zu dem besten Hersteller der Sicherheitsoftware zu werden.

Dank der unglaublich qualitativen und hochen Leistung hat unsere VirusSchlacht Software große Popularität bei unseren Kunden in allen Ecken der Welt. Unsere Software wurde als 'Die beste Antiviren-Software des Jahres' von der Zeitschrift Security World anerkannt.

Unsere Produkte werden weltweit verkauft und ihre Verbreitung wird immer dynamischer. Die wachsende Infrastruktur der Firma ermöglicht uns, alle empfangenen Bestellungen zu erfüllen und unseren Service weltweit zur Verfügung zu stellen. Hier ist ein Diagramm, das Statistik (Daten, die Sie auf dieses Diagramm sehen, werden jede Stunde gesammelt) über Verkäufe, Updates und Installationen unseres meistverkauften Produktes,VirusSchlacht zeigt.


SIE sollen aber IHRE Kreditkarteninformationen inkl. CVV2 (!) Adresse und eMail-Adresse preisgeben! - siehe auf

https://verkaufen.virusschlacht.com/payment/? (ACHTUNG: Diese Seite ist vermutlich infizierend!)

und

https://verkaufen.virusschlacht.com/html_resource/cvv2.html?lang=de

Anhand dieser Daten koennen uneingeschraenkt weitere Transaktionen mit IHRER Kreditkarte durchgefuehrt werden. Zahlung mittels Bankueberweisung oder PayPal ist nicht moeglich!

--------------

ACHTUNG: Die Webseite ist vermutlich infizierend!

Geht man mit FireFox in den Bezahlbereich, wird die untere Infoleiste mit den Browser-Plugins wie NoScript deaktiviert! Zudem faellt so nicht auf, dass das Schlossymbol fuer die angeblich sichere Verbindung fehlt!


Image

FireFox: Untere Info-Leiste im Browser noch vorhanden ...


Image

FireFox: Untere Info-Leiste im Browser nach Aufruf der Bezahlseite verschwunden!

Tip: Verwenden Sie SandBoxie zum Surfen!

--------------

Das einzige, was ich am Forenbeitrag unseres soeben gebannten Mitgliedes "sparrow-ship" ernstnehme, sind seine zwei letzten Worte:

Good luck!

Ja, das wird man wirklich brauchen, wenn man so saubloed ist, seine Kreditkarteninformationen, Adresse etc. preiszugeben!

Siehe auch unter

Kreditkartenbesitzer zu Unrecht wegen Kinder-Pornographie verurteilt!

und unter Punkt 15.) betreffend Phising und Pharming auf unserer Gefaehrderliste unseres Beitrages

0.) Wirtschaftsspionage: Vorwort + Einfuehrung

Es gibt hervorragende Antiviren- und AntiSpy- Software gratis und franko, zB. AntiVir (dessen Name von "VirusSchlacht" missbraucht wird!) von Avira.de und AdAware von Lavasoft. Auf meinem privaten Rechner laufen beide seit Jahren. Sie finden sie in unserer Link-Sammlung:

Security-Software, KnowHow + Online-Tests

Peter Schlegel alias Opensky

opensky - 14.10.2007, 11:00
Titel: Wer steckt dahinter?
UPDATE, 14. Oktober 2007, 13:15: Verraeterische eMail-Adresse fuehrt nach Minsk / Weissrussland, am Schluss dieses Eintrages.

------------------

Offenbar wird die Webseite in Belgien oder den Niederlanden gehostet:


Image

--------------

Sie haben die IP-Adresse 85.12.60.30 zur Suche eingegeben.

Die Eingaben werden bearbeitet...

Anfragezeit: 14.10.2007 - 10:57:23 Uhr

% This is the RIPE Whois query server #3.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See http://www.ripe.net/db/copyright.html

% Note: This output has been filtered.
% To receive output for a database update, use the "-B" flag.

% Information related to '85.12.60.0 - 85.12.60.255'

inetnum: 85.12.60.0 - 85.12.60.255
netname: EUROACCESS
descr: EUROACCESS BELGIUM
country: BE
admin-c: PL2400-RIPE
tech-c: TW1148-RIPE
status: ASSIGNED PA
mnt-by: EUROACCESS-MNT
source: RIPE # Filtered

person: PC Leurink
address: EuroAccess Enterprises Ltd.
address: Alsacelaan 5
address: 5627 CA Eindhoven, The Netherlands
phone: +31 (0)20-7173209
fax-no: +31 (0)40-2488764
e-mail: ip-dbm@euroaccess.nl
mnt-by: EUROACCESS-MNT
nic-hdl: PL2400-RIPE
source: RIPE # Filtered

person: TA Westervoorde
address: EuroAccess Enterprises Ltd.
address: Alsacelaan 5
address: 5627 CA Eindhoven, The Netherlands
phone: +31 (0)20-7173209
fax-no: +31 (0)40-2488764
e-mail: ip-dbm@euroaccess.nl
mnt-by: EUROACCESS-MNT
nic-hdl: TW1148-RIPE
source: RIPE # Filtered

% Information related to '85.12.0.0/18AS34305'

route: 85.12.0.0/18
descr: Euroaccess IPv4 Route
origin: AS34305
mnt-by: EUROACCESS-MNT
source: RIPE # Filtered

--------------------

Der Registrar scheint sich hinter dem Hoster zu verstecken:

Whois Server Version 2.0

Domain Name: VIRUSSCHLACHT.COM
Registrar: YESNIC CO. LTD.
Whois Server: whois.yesnic.com
Referral URL: http://www.yesnic.com
Name Server: NS1.VIRUSSCHLACHT.COM
Name Server: NS2.VIRUSSCHLACHT.COM
Status: ok
Updated Date: 31-may-2007
Creation Date: 16-jun-2006
Expiration Date: 16-jun-2008

>>> Last update of whois database: Sun, 14 Oct 2007 09:20:29 UTC <<<

-----------

Googelt man unter dem Suchbegriff "YESNIC CO. LTD." wird klar, dass es sich um eine Betruegerfirma handelt!

------------

UPDATE, 14. Oktober 2007, 13:15 Die Spuren fuehren nach Minsk / Weissrussland

Die eMail-Adresse unseres ehrenwerten neuen Mitgliedes "sparrow-ship" ist verraeterisch:

nine@a-bts.com

Domain Name: A-BTS.COM

Registrant:
Private
Vladimir Kraevskiy (pay@vsspy.com)
Pavlovskogo 40/40
Minsk
0,220050
BY
Tel. +375.295654239

Creation Date: 24-Feb-2007
Expiration Date: 24-Feb-2008

Domain servers in listed order:
ns.a-bts.com
ns2.a-bts.com


Administrative Contact:
Private
Vladimir Kraevskiy (pay@vsspy.com)
Pavlovskogo 40/40
Minsk
0,220050
BY
Tel. +375.295654239

Technical Contact:
Private
Vladimir Kraevskiy (pay@vsspy.com)
Pavlovskogo 40/40
Minsk
0,220050
BY
Tel. +375.295654239

Billing Contact:
Private
Vladimir Kraevskiy (pay@vsspy.com)
Pavlovskogo 40/40
Minsk
0,220050
BY
Tel. +375.295654239

Status:ACTIVE

-------------------------

Die eMail-Adresse des Registranten fuehrt wiederum auf eine einschlaegige URL:

http://vsspy.com/

Es ist an der Zeit, diesem Herrn Vladimir Kraevskiy ein Rollkommando vorbeizuschicken!
opensky - 14.10.2007, 12:55
Titel: Weitere getuerkte Seiten im Netz!
Im ausgezeichneten Forum von Avira (Antivir) postete ein Mitglied ein weiteres illustratives Beispiel von Betruegern, die ebenfalls versuchen, an Kreditkarten-Informationen zu gelangen:

Thread:

http://forum.avira.com/thread.php?threadid=28595

Links:

www.antivir2007.com , www.neueste-version.de

ACHTUNG: Faelschung!


Image

VORSICHT: Auch diese Seite ist offenbar infizierend! Und NIX von Download for Free - der Link fuehrt, wie nicht anders zu erwarten, auf die Bezahlseite...

Powered by CBACK Orion based on phpBB © 2001 phpBB Group